Η Microsoft εντόπισε άλλο ένα bug κλιμάκωσης προνομίων στα Windows που μπορεί ενδεχομένως να αξιοποιηθεί από κακόβουλους χρήστες και κακόβουλα προγράμματα για να αποκτήσουν δυνάμεις σε επίπεδο διαχειριστή.
Εν τω μεταξύ, βρέθηκε και ένα make-me-root bug στους πρόσφατους Linux kernels.
Οι πρόσφατες εκδόσεις των Windows 10 και η προεπισκόπηση των Windows 11, έχουν μια εσφαλμένη διαμόρφωση λίστας ελέγχου πρόσβασης (ACL) για τα αρχεία Security Account Manager (SAM), SYSTEM και SECURITY.
Ως αποτέλεσμα αυτής της βλάβης, οι μη διοικητικοί χρήστες μπορούν να διαβάσουν αυτές τις βάσεις δεδομένων, εάν υπάρχει ένα σκιώδες αντίγραφο VSS της μονάδας συστήματος, και ενδεχομένως να χρησιμοποιήσουν το περιεχόμενό τους για να αποκτήσουν αυξημένα δικαιώματα. Σύμφωνα με ένα advisory US-CERT, το ζήτημα φαίνεται να επηρεάζει τα Windows 10 build 1809 και νεότερες εκδόσεις.
Δείτε επίσης: XLoader malware: Κλέβει logins από Windows και macOS συστήματα
Το advisory αναφέρει ότι, εάν χρησιμοποιηθεί επιτυχώς, αυτό το σφάλμα, που ονομάστηκε από κάποιον ως HiveNightmare, μπορεί να χρησιμοποιηθεί για:
- Εξαγωγή και αξιοποίηση account password hashes.
- Ανακάλυψη του αρχικού κωδικού πρόσβασης εγκατάστασης των Windows.
- Απόκτηση κλειδιών υπολογιστή DPAPI, τα οποία μπορούν να χρησιμοποιηθούν για την αποκρυπτογράφηση όλων των ιδιωτικών κλειδιών του υπολογιστή.
- Απόκτηση ενός λογαριασμού computer machine, ο οποίος μπορεί να χρησιμοποιηθεί σε μια επίθεση silver ticket.
Ή, εν συντομία, “ένας τοπικός επικυρωμένος εισβολέας ενδέχεται να μπορεί να επιτύχει [τοπική κλιμάκωση προνομίων], να μεταμφιεστεί ως άλλος χρήστης ή να επιτύχει άλλα περιστατικά που σχετίζονται με την ασφάλεια.” Αυτό μπορεί να χρησιμοποιηθεί για την πλήρη μόλυνση ενός συστήματος με malware, κατασκοπεία σε άλλους χρήστες και ούτω καθεξής.
Μπορεί να πιστεύετε ότι είστε ασφαλείς επειδή ο Windows υπολογιστής σας δεν διαθέτει κατάλληλο VSS shadow copy, ωστόσο υπάρχουν τρόποι να καταλήξετε να δημιουργήσετε ένα και να θέσετε σε κίνδυνο τον υπολογιστή σας.
Σύμφωνα με το advisory: “Σημειώστε ότι τα VSS shadow copies ενδέχεται να μην είναι διαθέσιμα σε ορισμένα configurations, ωστόσο απλώς έχοντας ένα system drive μεγαλύτερο από 128 GB και, στη συνέχεια, εκτελώντας μια ενημέρωση των Windows ή εγκαθιστώντας ένα MSI, θα διασφαλίσετε ότι ένα VSS shadow copy θα δημιουργηθεί αυτόματα.”
Το US-CERT περιγράφει τον τρόπο ανίχνευσης του εάν διαθέτετε VSS shadow copies και περιλαμβάνει την εκτέλεση vssadmin list shadows ως προνομιούχου χρήστη και την παρακολούθηση αν υπάρχουν shadow copies.
Δείτε επίσης: Microsoft: Προειδοποιεί για νέα ευπάθεια στο Windows Print Spooler
Τα VSS shadow copies αποτελούν βασικό συστατικό, επειδή τα “registry hive files” χρησιμοποιούνται από τα Windows κατά τη διάρκεια της κανονικής λειτουργίας, επομένως δεν είναι δυνατή η πρόσβαση σε έναν κανονικό χρήστη, ακόμη και με το «loose ACL». Ωστόσο, εάν διατίθενται shadow copies, θα δείτε ότι μπορείτε να ανοίξετε αντίγραφα των αρχείων για επιθεώρηση χάρη στο «sloppy ACL».
Η Microsoft γνωρίζει το ελάττωμα, στο οποίο έχει εκχωρηθεί το αναγνωριστικό CVE-2021-36934 και δήλωσε τα παρακάτω:
Υπάρχει μια ευπάθεια ανύψωσης δικαιωμάτων λόγω υπερβολικά ανεκτικών λιστών Access Control (ACLs) σε πολλά αρχεία συστήματος, συμπεριλαμβανομένης της βάσης δεδομένων Security Accounts Manager (SAM). Ένας εισβολέας που εκμεταλλεύτηκε επιτυχώς αυτήν την ευπάθεια θα μπορούσε να εκτελέσει αυθαίρετο κώδικα με προνόμια SYSTEM. Ένας εισβολέας θα μπορούσε τότε να εγκαταστήσει προγράμματα, να διαγράψει δεδομένα ή να δημιουργήσει νέους λογαριασμούς με πλήρη δικαιώματα χρήστη.
Μέχρι στιγμής, μπορούμε να επιβεβαιώσουμε ότι αυτό το ζήτημα επηρεάζει τα Windows 10 έκδοση 1809 και νεότερα λειτουργικά client συστήματα.
Μόλις το ελάττωμα κυκλοφόρησε νωρίτερα, δεν έφυγε από την προσοχή της κοινότητας των πληροφοριών. Ο δημιουργός του Mimikatz, Benjamin Delpy, δημοσίευσε το παρακάτω tweet:
Αναφερόμενος στην απαίτηση VSS για exploitation, ο Delpy είπε στο The Register: “Το snapshot δεν είναι το πραγματικό πρόβλημα, το πραγματικό είναι το ACL.” Και δεν χρειάζεται να σπάσετε τα hashes, μπορεί να είναι δυνατό να χρησιμοποιήσετε το Mimikatz, για παράδειγμα, για να αυξήσετε τα δικαιώματα χρησιμοποιώντας αυτά τα εξαγόμενα δεδομένα.
Ο Delpy κοινοποίησε ένα βίντεο που δείχνει ακριβώς αυτό, χρεώνοντας στον Jonas Lykkegaard τον εντοπισμό του «ACL blunder».
Δεν είναι ένα ξεκάθαρο ζήτημα, καθώς ορισμένοι ισχυρίζονται ότι τα Windows 10 installations δεν είναι ευάλωτα ενώ τα deployments θα πρέπει να είναι. Περιμένουμε περισσότερες πληροφορίες από τη Microsoft. Εν τω μεταξύ, ανατρέξτε στο παραπάνω advisory για οδηγίες σχετικά με τον περιορισμό της ευπάθειας.
Δείτε επίσης: Τα Windows 10 21H2 κυκλοφόρησαν για δοκιμή, αλλά όχι για όλους
Δεν είναι μόνο τα Windows: έχει εντοπιστεί ένα bug στους Linux kernels που μπορεί να αξιοποιηθεί από κακόβουλους χρήστες και κακόβουλα προγράμματα που βρίσκονται ήδη σε ένα σύστημα για να αποκτήσουν δικαιώματα σε επίπεδο root. Στην ευπάθεια έχει εκχωρηθεί το ID CVE-2021-33909. Διαβάστε εδώ αναλυτικά τι ακριβώς συνέβη στην περίπτωση των Linux!
Πηγή πληροφοριών:
